feat(api): permisos de menú en SQLite con API de administración

- SQLite (better-sqlite3 + TypeORM, WAL) con tabla menu_permissions
  (usuario web, patrón de ruta); archivo fuera del repo.
- GET /api/user/menu para el frontend; GET/PUT/DELETE /api/permissions
  solo para administradores (acceso "*").
- ADMIN_WEB_USERS garantiza el acceso total al arrancar; no se puede
  quitar el "*" al último administrador (409, dentro de una transacción).
- Patrones validados (`*`, `/modulo/ruta`, `/modulo/*`). A diferencia del
  frontend anterior, `/inventario/*` ya no habilita `/inventario-x`.
- Helper de e2e compartido (SAP simulado, SQLite en memoria).

Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>

apps/api/.env.example

@@ -7,6 +7,11 @@ LOG_LEVEL=log
 # Inactividad (minutos) tras la cual caduca la sesión web
 SESSION_TIMEOUT_MINUTES=30
 
+# Base SQLite local (permisos de menú)
+SQLITE_PATH=./data/app.sqlite
+# Usuarios web (U_WEB_USER) con acceso total "*", garantizado al arrancar (separar con comas)
+ADMIN_WEB_USERS=
+
 # --- SAP Business One Service Layer ---
 SAPB1_SL_URL=https://servidor-sap:50000/b1s/v1
 SAPB1_SL_COMPANYDB=